最近，Window系统引爆了CryptoAPI无法正确验证ECC (椭圆曲线)密码证书的严重安全漏洞，攻击者可以使用这个漏洞欺骗证书信任链。 微软昨天发布了修复这一漏洞的重要软件更新。 NSAsynchronous也宣布了安全升级，NSA将该漏洞评估为严重漏洞
该漏洞被编码为CVE-2020-0601，影响所有Microsoft Windows版本的加密功能。 此漏洞禁用了Windows证书认证加密认证的证书信任系统，并将其用于执行远程代码。
漏洞概述
CVE-2020-0601漏洞位于窗口的加密组件CryptoAPI中。 CryptoAPI是微软提供给开发者的Windows安全服务APP接口，可以用于加密的APP应用，实现数据的加密、解密、签名、验证等功能。
Crypt32.dll提供的微软windows cryptoapi无法正确验证ECC证书的信任链。 攻击者可以利用这个漏洞伪造可信的根证书并颁发证书。 Crypt32.dll的CertGetCertifiCAteChain ()函数用于验证X.509的合法性，并跟踪受信任的根ca颁发的证书。 由于函数存在漏洞，无法正确验证包含第三方非微软根证书的证书。
漏洞影响
支持使用具有指定参数的ECC密钥的证书的Microsoft Windows版本将受到影响。 包括Windows 10和Windows 10服务器2019和2019。 在Windows 8.1之前和Server 2012 R2之前不支持带参数的ECC密钥。 因此，旧版本的Windows不直接信任尝试利用此漏洞的证书，也不受漏洞的影响。利用这个漏洞，攻击者可以跨越Windows的认证信任系统，破坏信任的网络连接，提供可执行代码。 可能会影响信任的示例包括HTTPS连接、文件签名、电子邮件签名和以用户模式启动的签名可执行文件。
漏洞使Windows终端面临着利用介质攻击的广泛风险。 一旦被利用，平台将处于根本脆弱的状态。 如果不及时修复漏洞，结果可能会成为重大风险。
缓解措施
及时升级修补程序是目前已知的唯一缓解措施，建议立即升级。 为了有效缓解所有Winning，美国国家安全局将尽快提供所有2020年1月周二的修补程序(Portal.MSRC.Microsoft.com/EN-US /安全/Adance/Adance )
如果无法应用完全自动升级的修补程序，建议优先考虑提供基本APP和关键APP应用程序的主机，例如
运行基于Windows的Web设备、Web服务器或TLS认证代理。
承载重要基础架构的主机：域控制器、DNS服务器、更新服务器、VPN服务器、IPSec协商终端。
也应该优先考虑使用风险高的端点。 包括直接暴露在互联网中的主机。 特权用户经常使用的主机。 例如运输机、汉堡兰机等。
管理员必须及时升级这些主机，并运行修补程序。 建议对所有受影响的主机进行修补，而不是优先处理特定类别的主机。 除了安装修补程序外，还可以通过其他措施保护主机。 虽然网络设备和主机记录功能可能会阻止或检测特定的使用方法，但是将修补程序升级到所有平台是最有效的缓解方法。
网络预防与证书检测
有些公司使用代理设备来托管通信，该代理设备执行TLS检查，但不在Windows上进行证书验证。 这些设备有助于隔离代理后面的易受攻击的端点。配置和管理良好的TLS检查代理通过独立验证来自外部实体的TLS证书并拒绝无效或不信任的证书，保护主机免受试图利用漏洞的证书的侵害。
请启用TLS代理的证书验证，以限制暴露于这些漏洞，并检查日志以发现使用迹象。
可以使用数据包捕获分析工具(如Wireshark )从网络协议数据中分析和提取证书，并进行其他分析。 可以使用安全APP位置(如OpenSSL和Windows certutil )详细分析证书的恶意属性。
验证X509证书
certutilx509证书检查：核心签名_文件名
OpenSSL检查X509证书：
OpenSSL ASN 1解析信息认证文件名- I -转储
或者
OpenSSL x509 -信息验证文件名-文本
此命令分析并显示指定的DER编码证书文件中的ASN.1对象。
通过观察具有
验证椭圆曲线证书
可疑属性的椭圆曲线对象，可以判断具有明确椭圆OID值的椭圆曲线证书为良性。 例如，标准曲线nistP384的曲线OID的值为1.3.132.0.34。 明确定义的参数(如素数、a、b、基数、阶数和副因子)与标准曲线完全一致的证书也可以视为良性证书。使用Certutil，可以列出已注册的椭圆曲线，并运行以下命令以显示参数命令：
ocertutil -显示加速器
ocertutil -显示安全保护名称
对应的OpenSSL可用：
OpenSSL EC参数列表曲线
opensslecparam -名称曲线-名称-参数_ ENC explicit -文本
包含显式定义的椭圆曲线参数的显式文本证书令人怀疑。 特别是包含信任证书的公钥，可能显示出善意使用的尝试。